PT-2025-43469 · Unknown · Mediaprovider.Java

Publicado 2025-10-23 · Atualizado 2026-03-06 · CVE-2025-48579

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas MediaProvider.java (versões afetadas não especificadas)

Descrição Existe uma falha em múltiplas funções do MediaProvider.java que pode permitir o contorno das permissões de gravação no armazenamento externo devido a uma condição de "confused deputy". A exploração bem-sucedida poderia resultar em escalonação local de privilégios, sem exigir privilégios de execução adicionais ou interação do usuário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-441

Identificadores relacionados

ASB-A-417195606

CVE-2025-48579

Produtos afetados

Mediaprovider.Java

Referências · 10

• https://source.android.com/security/bulletin/2026-03-01 · Nota
• https://source.android.com/docs/security/bulletin/2026/2026-03-01 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48579 · Nota de Segurança
• https://osv.dev/vulnerability/ASB-A-417195606 · Aviso do Fabricante
• https://android.googlesource.com/platform/packages/providers/MediaProvider/+/7ea0a039ec32fcd6477355431b953f4689a2fa61 · Nota
• https://twitter.com/cracbot/status/2029874919337775357 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2028758072215425373 · Publicação no Twitter
• https://reddit.com/r/androiddev/comments/1oe10qe/checking_if_my_android_devices_have_critical_high · Publicação no Reddit
• https://twitter.com/cracbot/status/2029512453063860232 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-48579 · Aviso do Fabricante